LGPD no WhatsApp da clínica: o que fazer com dados de pacientes

Toda clínica, estética e salão que atende pelo WhatsApp já lida com dados pessoais o dia inteiro, mesmo sem perceber. Nome, telefone, histórico de consulta, foto de antes e depois, sintoma relatado em texto — tudo isso é dado pessoal, e parte é dado sensível. Este guia explica, em termos práticos, o que a Lei Geral de Proteção de Dados (Lei 13.709/2018) exige de quem atende pacientes e clientes pelo WhatsApp, com ou sem inteligência artificial no meio.

Este texto não substitui orientação jurídica. Para decisões específicas do seu negócio, em geral vale consultar o encarregado de dados ou um advogado especializado.

Por que dado de saúde pesa mais que outros dados

A LGPD trata dado sobre saúde como dado sensível, o que exige mais cuidado do que um dado comum como nome ou telefone. Numa clínica médica ou odontológica isso é óbvio — prontuário, diagnóstico, medicação. Mas numa clínica de estética também entra: contraindicação, alergia, procedimento realizado, foto de pele ou corpo. Em salão e barbearia o volume de dado sensível é menor, mas ainda existe quando o cliente menciona uma condição de saúde no meio da conversa, como uma alergia a produto químico.

Isso muda a régua. Uma promoção de corte de cabelo enviada sem cuidado é um problema de marketing. Uma foto de procedimento estético vazada ou compartilhada sem consentimento é um problema de dado sensível, com exposição muito maior para o paciente e para a clínica.

O consentimento não precisa ser burocrático, mas precisa existir e ficar registrado

Em geral, tratar dado de saúde exige uma base legal — nem sempre é consentimento, mas quando é, ele precisa ser específico, informado e registrável, não um "sim" genérico perdido no meio de uma conversa. Na prática, para uma clínica que atende pelo WhatsApp isso significa:

• Uma mensagem clara, no início do relacionamento, explicando que os dados serão usados para agendar, confirmar e dar continuidade ao atendimento.
• Um jeito de o paciente aceitar isso de forma explícita — um botão, uma resposta registrada, um termo enviado no onboarding.
• Um registro de quando esse aceite aconteceu, guardado em algum lugar que a clínica consiga consultar depois, não só perdido no histórico de conversa.

Isso não precisa de um formulário longo. Precisa existir e poder ser mostrado se alguém perguntar.

Minimização: colete só o que o atendimento realmente precisa

Um erro comum é pedir dado demais "para garantir". A LGPD trabalha com o princípio de minimização: coletar apenas o necessário para a finalidade declarada. Uma clínica que agenda consulta não precisa do CPF completo do acompanhante. Um salão que agenda corte não precisa de endereço residencial. Quanto menos dado sensível transita pela conversa, menor o risco em caso de vazamento.

Quem acessa o número da clínica no WhatsApp

Esse é o ponto que mais escapa no dia a dia. Se três pessoas da recepção têm acesso ao mesmo WhatsApp, e qualquer uma pode rolar o histórico de qualquer paciente, isso é um controle de acesso frágil. O ideal é que:

• Só quem precisa do dado para o atendimento tenha acesso a ele.
• Troca de funcionário implique revisão de acesso — quem sai não deveria continuar vendo conversas antigas.
• Exista algum registro de quem acessou o quê, mesmo que simples, para o caso de precisar investigar um incidente depois.

Ferramentas de atendimento que rodam pela API oficial do WhatsApp Business, com perfis de usuário separados, resolvem isso melhor do que um único WhatsApp Business no celular passado de mão em mão.

Retenção e exclusão: por quanto tempo guardar

A LGPD não define um prazo único para todo tipo de dado, e no caso de dado de saúde outras normas do setor também entram na conta — por isso, em geral, vale confirmar o prazo aplicável ao seu tipo de atendimento com o encarregado ou advogado. O que dá para adiantar sem depender de resposta jurídica caso a caso:

• Ter uma política escrita, mesmo que simples, dizendo por quanto tempo o histórico de conversa e o cadastro do paciente ficam guardados.
• Ter um processo para excluir dado de quem pede, dentro do prazo que a lei prevê para atender a solicitação.
• Não guardar dado "porque pode ser útil um dia" sem finalidade definida — isso é o oposto do que a lei pede.

O que fazer em caso de incidente

Vazamento de dado acontece mesmo em operações cuidadosas — número clonado, funcionário mal-intencionado, falha de um fornecedor. Ter um plano mínimo antes de precisar dele muda o resultado:

• Saber quem é o responsável interno por tomar a decisão no momento do incidente.
• Ter um canal para avisar os pacientes afetados, se o incidente expôs dado sensível.
• Documentar o que aconteceu e o que foi feito, porque isso importa tanto para a lei quanto para reconstruir a confiança do paciente.

DPO ou encarregado: preciso ter um?

Em geral, a lei prevê a indicação de um encarregado de dados (o "DPO"), que é o canal entre a empresa, os titulares dos dados e a autoridade. Numa clínica pequena isso costuma ser o próprio dono ou um responsável interno, não necessariamente um cargo dedicado. O ponto prático é que esse alguém precisa existir com nome e contato, não ser uma figura abstrata. Vale confirmar com o encarregado ou advogado se o porte e o tipo de dado tratado exigem uma formalização mais completa.

Fornecedor de tecnologia é operador — e isso importa

Quando a clínica usa um sistema de agenda, CRM ou IA para atender no WhatsApp, esse fornecedor normalmente atua como operador dos dados: trata a informação em nome da clínica, mas a responsabilidade principal continua sendo de quem atende o paciente. Isso tem duas consequências práticas:

1. É preciso ter um contrato com o fornecedor que preveja como os dados são tratados, protegidos e, se necessário, excluídos.
2. A clínica continua responsável perante o paciente mesmo quando o problema técnico aconteceu do lado do fornecedor — por isso escolher bem importa tanto quanto ter processo interno.

Checklist: o mínimo que você precisa fazer

• Ter uma mensagem de consentimento clara no início do atendimento, e registrar quando o paciente aceitou.
• Coletar só o dado necessário para agendar e atender — nada "por garantia".
• Limitar quem, dentro da equipe, tem acesso ao histórico de conversas.
• Revisar acesso sempre que alguém sai da equipe.
• Ter uma política simples de retenção: por quanto tempo o dado fica guardado.
• Ter um processo para excluir dado de quem solicitar.
• Ter um responsável nomeado (encarregado) com contato conhecido pela equipe.
• Ter um plano mínimo para incidente: quem decide, quem avisa, o que se documenta.
• Ter contrato com qualquer fornecedor de tecnologia que trate dado de paciente.
• Perguntar ao fornecedor de IA como ele trata, protege e permite excluir os dados.

O que perguntar antes de contratar uma IA para atender no WhatsApp

Se a clínica está avaliando uma ferramenta de inteligência artificial para o atendimento, algumas perguntas separam um fornecedor sério de um risco disfarçado de conveniência:

• Onde os dados são armazenados, e há garantia de que ficam no Brasil ou em local com proteção equivalente?
• Os dados trafegam e ficam guardados com criptografia?
• As conversas dos pacientes são usadas para treinar modelos de IA compartilhados com outros clientes do fornecedor, ou ficam isoladas por conta?
• É possível exportar todo o histórico de um paciente se ele pedir, ou se a clínica trocar de fornecedor?
• É possível excluir definitivamente o dado de um paciente quando solicitado?
• Existe um contrato que formalize o papel do fornecedor como operador de dados?

A Velaris responde a esse tipo de pergunta com transparência, mas o ponto vale para qualquer fornecedor: se as respostas vierem vagas ou evasivas, é sinal de alerta antes de conectar o número da clínica a uma ferramenta de terceiros.

Perguntas frequentes

Foto de antes e depois de procedimento estético é dado sensível?

Em geral sim, quando permite identificar a pessoa e está associada a um procedimento de saúde ou estética. Por isso pedir consentimento específico para usar essas fotos, inclusive em redes sociais, é mais importante do que costuma parecer. Consulte o encarregado ou advogado para o caso concreto da sua clínica.

Posso usar o WhatsApp comum, sem IA, e ainda estar em conformidade?

Sim, a LGPD não exige uma ferramenta específica, mas exige controle de acesso, consentimento e retenção adequada independente da ferramenta. O risco cresce quando o WhatsApp é acessado por várias pessoas sem controle, o que é mais comum em apps comuns do que em sistemas com perfis separados.

O paciente pode pedir para eu apagar a conversa dele?

Sim, em geral a lei garante ao titular o direito de solicitar a exclusão dos seus dados, e a clínica precisa ter um processo para atender esse pedido dentro do prazo previsto. Ter isso resolvido antes de alguém pedir evita correria e risco de descumprimento.

Preciso de advogado para adequar minha clínica à LGPD?

Não é obrigatório, mas em geral é recomendável, especialmente para definir base legal de tratamento de dado sensível e política de retenção. Uma consulta pontual com um advogado especializado costuma resolver as dúvidas mais específicas do seu tipo de atendimento.

Próximo passo

Se a dúvida é como uma IA de atendimento trata dado de paciente na prática, veja as respostas diretas sobre segurança e privacidade em ajuda ou compare os planos em planos.